Em relatório publicado em 15 de outubro de 2026, a Check Point Research (CPR) informou que a campanha de phishing com convites de calendário enviou mais de 740 mil e-mails entre 1º e 14 de outubro e chegou a quase 200 mil mensagens em 8 de outubro. A CPR acompanhou a atividade até 15 de outubro. O balanço da CPR também contabiliza mais de 302.386 e-mails únicos sinalizados entre mensagens de clientes da empresa, enviados a mais de 40 mil organizações.
Como os convites viram isca
A CPR descreveu dois caminhos: anexos .ics válidos, que contêm dados de calendário, e links apresentados como convites. Nos dois casos, o objetivo é obter credenciais de contas Microsoft. A técnica relatada explora a confiança que as pessoas depositam em convites e recursos de calendário, não uma vulnerabilidade de software.
A CPR também registrou mais de 33.890 domínios e mais de 247.270 endereços de remetente únicos. Esses números descrevem a atividade de e-mail observada na campanha.
Onde denunciar ou remover o item
A ação adequada depende de onde o convite ou evento aparece. A Microsoft e a Apple descrevem estas opções:
| Produto ou item | Ação | Escopo |
| Mensagem no Outlook.com | Selecione a mensagem e escolha Report > Report phishing. A Microsoft informa que denunciar não bloqueia o remetente. | Mensagens no Outlook.com |
| Item de calendário no Outlook para Microsoft 365 | Use o botão Report para denunciar o item como indesejado. A Microsoft informa que o recurso começou na versão 2512, build 19530.20000, nos canais Current Channel Preview e Current Channel; outros canais recebem a mudança ao chegar a esse build ou a uma versão posterior. | Assinaturas do Microsoft 365 com as versões e os canais indicados |
| Evento no Calendário do iPhone | Apague o evento indesejado; para um evento de um contato desconhecido, escolha a opção de denunciar como indesejado. A Apple descreve essas ações para o iOS 26 ou posterior. | Evento individual |
| Calendário indesejado no iPhone | Na lista de calendários, abra as informações do calendário e escolha apagá-lo ou cancelar a assinatura. | Calendário assinado no iOS 26 ou posterior |
O endereço exibido não confirma quem enviou a mensagem
Um convite que parece vir do seu próprio endereço não prova que sua conta o enviou: o campo do remetente pode ser falsificado. No Outlook, um ponto de interrogação pode aparecer quando o remetente não é autenticado; a etiqueta “via” pode indicar que o endereço real de envio difere do endereço exibido. A Microsoft ressalta que esses sinais, por si só, não determinam se a mensagem é maliciosa.
Se uma mensagem avisar sobre atividade incomum na conta, consulte a página de atividade recente da conta Microsoft para verificar logins bem-sucedidos e desafios de segurança. A orientação da Microsoft indica essa página para conferir os avisos de atividade.
